CVE-2025-0108 — PAN‑OS Authentication Bypass

securitybeztabu.pl 1 dzień temu

TL;DR

Błąd w WebUI PAN‑OS pozwala bez uwierzytelnienia wywołać określone skrypty PHP, jeżeli atakujący ma sieciowy dostęp do portu zarządzania (typowo 443/4443). Nie daje sam w sobie RCE, ale narusza poufność/integralność i bywa łańcuszkowany z innymi lukami (np. CVE‑2024‑9474, CVE‑2025‑0111) do pełnego przejęcia.
Największe ryzyko: publicznie dostępny interfejs zarządzania lub profil zarządzania na interfejsie dataplane. GlobalProtect portale/bramy nie są podatne (chyba iż ma profil zarządzania).
Naprawa: aktualizacje do wersji hotfix wymienionych niżej + ograniczenie dostępu IP/segmentacja. Dodatkowo abonenci Threat Prevention mogą blokować próby sygnaturami Threat ID 510000/510001.
ATT&CK: T1190 (Exploitation of public‑facing admin UI). Priorytet: krytyczny, jeżeli WebUI jest osiągalne z Internetu.

Krótka definicja techniczna

CVE‑2025‑0108 to obejście uwierzytelniania w WebUI PAN‑OS, umożliwiające niezalogowanemu napastnikowi z dostępem sieciowym do WebUI wywołanie wybranych skryptów PHP. Samo wywołanie nie daje RCE, ale może ujawniać/zmieniać informacje, a w praktycznych łańcuchach z CVE‑2024‑9474 (PE/CI) i CVE‑2025‑0111 (file read) prowadzi do eskalacji.

Gdzie występuje / platformy

Palo Alto Networks: PA‑Series, VM‑Series, CN‑Series, Panorama — wersje PAN‑OS wymienione jako podatne; Cloud NGFW i Prisma Access — niepodatne.
Środowiska uruchomieniowe: sprzęt on‑prem, ESXi/KVM/Hyper‑V (VM‑Series), chmury AWS/Azure/GCP (VM‑Series).
Usługi powiązane: GlobalProtect portale/gateways nie są podatne, ale profil zarządzania na takim interfejsie naraża urządzenie (często port 4443).

Szczegółowy opis techniki (jak działa i dlaczego skuteczna)

Atakujący wysyła specjalnie ułożone żądania HTTP/S do publicznie osiągalnego WebUI PAN‑OS. Błąd w ścieżce uwierzytelniania pozwala ominąć kontrolę logowania i wołać część skryptów PHP zaplecza WebUI. Choć producent podkreśla, iż samo to nie daje RCE, realnie umożliwia pozyskanie wrażliwych informacji lub zmianę stanu (konf./sesje), co w połączeniu z innymi błędami (np. CVE‑2024‑9474, CVE‑2025‑0111) bywa wykorzystywane do pełnego przejęcia administracyjnego. Lukę uznano za atakowaną (observed exploit attempts) i wpisano do CISA KEV. Skuteczność wynika z: (1) powszechności błędnych ekspozycji WebUI, (2) niska złożoność i brak wymagań uprawnień/UI, (3) możliwość łańcuchowania.

Wersje/fixy (skrót):

10.1: podatne < 10.1.14‑h9; naprawa ≥ 10.1.14‑h9
10.2: podatne niższe niż 10.2.7‑h24 / 10.2.8‑h21 / 10.2.9‑h21 / 10.2.10‑h14 / 10.2.11‑h12 / 10.2.12‑h6 / 10.2.13‑h3; naprawy ≥ tych wersji
11.1: podatne < 11.1.2‑h18 / < 11.1.4‑h13 / < 11.1.6‑h1; naprawy ≥ tych wersji
11.2: podatne < 11.2.4‑h4 / < 11.2.5; naprawy ≥ 11.2.4‑h4 / 11.2.5
EoL (11.0/10.0/9.x): domyślnie uważane za podatne, bez planu poprawek.

Artefakty i logi

ŹródłoTyp/ZdarzenieNajważniejsze polaWskazówki / przykład

PAN‑OS Threat logs	Blokady sygnatur Threat ID 510000/510001	threat_id/threatid, threat_name, action, src, dst, url	Detekcja prób CVE‑2025‑0108 (wymaga subskrypcji Threat Prevention).
PAN‑OS Traffic logs	Połączenia do WebUI (443/4443)	dst_port, app (ssl/web-browsing), rule, src, dst	Ruch z niezaufanych ASN/IP do IP zarządzania; brak reguły NAT/SNAT dla mgmt.
PAN‑OS System/Config logs	Nieoczekiwane zmiany/akcje w WebUI	type=SYSTEM/CONFIG, admin, client, cmd, result	Zmiany konfiguracyjne z nietypowych adresów źródłowych po ruchu na 4443.
Cortex Data Lake / CEF	Znormalizowane pola CEF (CommonSecurityLog)	DeviceVendor="Palo Alto Networks", DeviceProduct="PAN-OS", DeviceEventClassID	W Sentinel KQL filtrujemy DeviceProduct has 'PAN-OS'.
CloudTrail (meta‑kontrola)	Zmiany SG/VPC odsłaniające 443/4443	AuthorizeSecurityGroupIngress, RevokeSecurityGroupIngress	Wykrywanie ekspozycji WebUI dla VM‑Series w AWS.
K8s audit / M365 / Windows EID	—	—	Nie dotyczy tej luki (brak lokalnych EID/M365/K8s).

Detekcja (praktyczne reguły)

Sigma — próby CVE‑2025‑0108 (Threat Prevention lub ślady WebUI)

title: PAN-OS WebUI Auth Bypass Attempt (CVE-2025-0108) id: 0a0d2c8b-3c7a-4d0e-9a7e-0d9b5b7f0108 status: experimental description: Wykrywa próby obejścia uwierzytelniania WebUI PAN-OS (CVE-2025-0108) na podstawie sygnatur TP lub nietypowych wywołań WebUI. references: - https://security.paloaltonetworks.com/CVE-2025-0108 logsource: category: firewall product: paloalto detection: tp_ids: threat_id|contains: - '510000' - '510001' action|contains: - 'block' - 'reset' webui_suspicious: dst_port|in: [443, 4443] app|contains: - 'ssl' - 'web-browsing' url|endswith: '.php' user|isempty: true condition: tp_ids OR webui_suspicious falsepositives: - Skanery podatności/monitoring pochodzące z dozwolonych adresów level: high tags: - attack.t1190 - cve.2025-0108

Uwaga: dopasuj nazwy pól do Twojego parsera (np. threatid/threat_id, url, dstport). Sygnatury 510000/510001 wg advisora producenta.

Splunk (SPL)

A) Trafienia sygnatur 510000/510001 (pan:threat)

index=pan_logs sourcetype=pan:threat | search threatid IN (510000, 510001) | stats count min(_time) as firstSeen max(_time) as lastSeen values(src_ip) values(dst_ip) by threatid, threat, action

(„threatid”/„threat” mogą się różnić w zależności od Add‑on; sprawdź normalizację pól).

B) Dostępy do WebUI z Internetu (pan:traffic)

index=pan_logs sourcetype=pan:traffic (dest_port=443 OR dest_port=4443) | eval isPublic=if(cidrmatch("0.0.0.0/0", src_ip) AND NOT (cidrmatch("10.0.0.0/8", src_ip) OR cidrmatch("172.16.0.0/12", src_ip) OR cidrmatch("192.168.0.0/16", src_ip)), 1, 0) | where isPublic=1 | stats dc(src_ip) as uniqIPs values(app) values(rule) by dest_ip, dest_port

C) Korelacja: po ruchu na WebUI następuje Config change

(index=pan_logs sourcetype=pan:traffic (dest_port=443 OR dest_port=4443) src_ip!=10.0.0.0/8) | bin _time span=5m | stats values(src_ip) as srcs values(dest_ip) as mgmtIPs by _time | join _time [ search index=pan_logs sourcetype=pan:config result="Succeeded" | stats values(admin) as admins values(client) as clients by _time ] | table _time mgmtIPs srcs admins clients

Microsoft Sentinel / KQL (CommonSecurityLog)

A) Sygnatury TP (CEF)

CommonSecurityLog | where DeviceVendor =~ "Palo Alto Networks" and DeviceProduct has "PAN-OS" | where DeviceEventClassID =~ "threat" | extend kv = parse_kv(AdditionalExtensions, ";", "=") | where tostring(kv.threatid) in ("510000","510001") or tostring(kv.ThreatID) in ("510000","510001") | summarize count(), FirstSeen=min(TimeGenerated), LastSeen=max(TimeGenerated) by SourceIP, DestinationIP, tostring(kv.threat_name)

B) Dostęp do WebUI z niezaufanych adresów

CommonSecurityLog | where DeviceVendor =~ "Palo Alto Networks" and DeviceProduct has "PAN-OS" | where DestinationPort in ("443","4443") and ApplicationProtocol in ("ssl","http","https") | where not(ipv4_is_private(SourceIP)) | summarize dcount(SourceIP), make_set(SourceIP, 5) by DestinationIP, DestinationPort

AWS (CloudTrail/CLI/Flow Logs)

A) Zmiany SG otwierające WebUI na świat (CloudTrail)

AWSCloudTrail | where EventName in ("AuthorizeSecurityGroupIngress","ModifyNetworkInterfaceAttribute") | extend open443 = tostring(parse_json(RequestParameters).ipPermissions) has "fromPort\":443" | extend open4443 = tostring(parse_json(RequestParameters).ipPermissions) has "fromPort\":4443" | where open443 or open4443 | where tostring(parse_json(RequestParameters).ipPermissions) has "0.0.0.0/0"

B) Szybki audyt CLI (EC2 SG)

aws ec2 describe-security-groups \ --query "SecurityGroups[?IpPermissions[?((FromPort==443||FromPort==4443)&&contains(IpRanges[].CidrIp, '0.0.0.0/0'))]].{GroupId:GroupId,Name:GroupName}" \ --output table

C) VPC Flow Logs (CloudWatch Logs Insights) – ruch do 4443

fields @timestamp, srcAddr, dstAddr, dstPort, action | filter dstPort in [443,4443] and action="ACCEPT" | sort @timestamp desc | limit 100

Elastic (EQL / KQL)

EQL – ruch do WebUI z Internetu + ślady PHP w URL

any where observer.vendor == "Palo Alto Networks" and event.dataset in ("panw.traffic","panw.threat") and destination.port in (443, 4443) and (url.path regex ".*\\.php(\\?|$)") and not cidrmatch(source.ip, "10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16")

Heurystyki / korelacje

Łańcuch czasowy (T1190 → konfiguracja): (1) wzrost 4xx/5xx/nieudanych prób na WebUI → (2) trafienia sygnatur 510000/510001 → (3) Config/System z nietypowych IP → (4) nowe sesje admina/zmiany polityk.
Ekspozycja → atak: zdarzenia CloudTrail/SG otwierające 443/4443 dla 0.0.0.0/0 w VPC z VM‑Series + ruch do WebUI + zmiany w PAN‑OS.
Łańcuch z innymi CVE: obserwuj następujące wzorce po nieudanym logowaniu: wywołania prowadzące do PE/CI (CVE‑2024‑9474) i file read (CVE‑2025‑0111).

False positives / tuning

Skanery podatności / monitoring (np. z adresów skanerów wewnętrznych).
Automaty / API do kopii konfiguracji działające z uprzywilejowanych podsieci.
CDN/Proxy: pole XFF może maskować źródło — uwzględnij parsowanie XFF.
Tuning: biała lista skanerów; zawężenie do dest_ip = znane IP zarządzania; korelacja z action != allow lub z sygnaturami TP.

Playbook reagowania (IR)

Izoluj ekspozycję: natychmiast zablokuj dostęp do WebUI z Internetu (ACL/SG/WAF), ogranicz do jump‑boxa/VPN i adresów zaufanych.
Zastosuj poprawki: podnieś PAN‑OS do wersji:
- 10.1 ≥ 10.1.14‑h9; 10.2 ≥: 10.2.7‑h24 / 10.2.8‑h21 / 10.2.9‑h21 / 10.2.10‑h14 / 10.2.11‑h12 / 10.2.12‑h6 / 10.2.13‑h3; 11.1 ≥: 11.1.2‑h18 / 11.1.4‑h13 / 11.1.6‑h1; 11.2 ≥ 11.2.4‑h4/11.2.5.
Włącz sygnatury: Threat Prevention 510000/510001 (Apps & Threats ≥ 8943). Zweryfikuj trafienia.
Przegląd logów:
- Threat/Traffic: próby na 443/4443, hosty źródłowe, geolokacja.
- System/Config: nietypowe admin / client, zmiany reguł, importy konfiguracji.
Hunting łańcucha: wyszukaj wskaźniki wykorzystania CVE‑2024‑9474/CVE‑2025‑0111 po czasie prób CVE‑2025‑0108.
Twarde utwardzanie: odseparuj zarządzanie (VLAN/VRF/DMZ), wymuś MFA dla adminów, wyłącz HTTP, zostaw tylko HTTPS z certyfikatem i restrykcjami IP.
Rotacja poświadczeń / przegląd kont: zmień hasła lokalnych adminów, sprawdź nieznane konta.
Lessons learned: dodaj kontrolę CI/CD zmian SG, testy ekspozycji mgmt (IaC policy), dashboardy SOC.

Wybrane komendy PAN‑OS (CLI) – diagnostyka/bezpieczne

Uruchamiaj w oknie serwisowym, po kopii configu.

show system info show admins show config running | match management show session all filter dst port 4443 show log system direction equal backward query '( subtype eq general )' show log config direction equal backward

Przykłady z kampanii / case studies

Producent: „Palo Alto Networks zaobserwował próby łańcuchowania CVE‑2025‑0108 z CVE‑2024‑9474 i CVE‑2025‑0111 na niezałatanych i źle zabezpieczonych WebUI.”
KEV: wpis CISA KEV z datą dodania 2025‑02‑18 potwierdza eksploatację w praktyce.
Niezależne analizy: raporty Armis/FortiGuard omawiają aktywne wykorzystanie i łańcuszkowanie.

Lab (bezpieczne testy)

Cel: zweryfikować detekcję i twarde zasady bez ujawniania szczegółów exploitu. Wykonuj w odseparowanym labie.

Topologia: VM‑Series (lab), jump‑host (allowlist), maszyna „Internet” (deny).
Ekspozycja kontrolowana: tymczasowo otwórz 4443 tylko dla jump‑host; potwierdź, iż „Internet” jest blokowany.
Generacja ruchu: z „Internet” wyślij neutralne żądania HTTPS do WebUI (np. curl -k https://FW:4443/) i obserwuj logi Traffic/Threat.
Sygnatury: zaktualizuj Applications and Threats do wersji ≥ 8943 i zweryfikuj, iż blokady 510000/510001 pojawiają się przy próbach wzorcowych (narzędzie skanujące w labie).
Kwerendy: uruchom reguły SPL/KQL/EQL z pkt 7 i sprawdź alarmy.

(Nie wykonujemy czynności ukierunkowanych na obejście zabezpieczeń ani odtwarzania łańcucha exploitu.)

Mapowania (Mitigations, powiązane techniki)

ATT&CK Technika: T1190 Exploit Public‑Facing Application (Initial Access).
Mitigations (ATT&CK):
- M1030 Network Segmentation – izoluj płaszczyznę zarządzania; dostęp tylko z jump‑boxa.
- M1031 Network Intrusion Prevention – stosuj IPS/WAF do ruchu do WebUI; sygnatury TP 510000/510001.
- M1050 Exploit Protection – „virtual patching”, blokady behawioralne; polityki hardeningu.
Powiązane CVE/techniki do korelacji: CVE‑2024‑9474 (eskalacja/CI), CVE‑2025‑0111 (file read) — korelować jako etap po T1190.

Źródła / dalsza literatura

Palo Alto Networks — oficjalny advisory CVE‑2025‑0108 (wersje, sygnatury, status exploitation, mitigation). (Palo Alto Networks Security)
NVD CVE‑2025‑0108 — CVSS v3.1=9.1, wpis KEV (data/due date). (NVD)
MITRE ATT&CK T1190 (wersja 2.8; modyfikacja 2025‑10‑24). (MITRE ATT&CK)
ATT&CK Version History — aktualna wersja v18.1 (od 2025‑10‑28). (MITRE ATT&CK)
Armis — łańcuch wykorzystania 0108+9474+0111. (Armis)
FortiGuard Labs — aktywna eksploatacja. (FortiGuard)
Microsoft — CommonSecurityLog / KQL dla Palo Alto (CEF). (Microsoft Learn)
PAN‑OS log fields (Traffic/Threat/System) — dokumentacja. (docs.paloaltonetworks.com)

Checklisty dla SOC / CISO

SOC – dziś

Czy żaden WebUI PAN‑OS nie jest dostępny z Internetu? (skan + SG/ACL)
Czy mamy aktualizację do naprawionych wersji (patrz lista)?
Czy Threat Prevention włączony + sygnatury 510000/510001 działają?
Czy działają alerty T1190: ruch na 443/4443 do IP zarządzania, zdarzenia Threat/Config?
Korelacja z CVE‑2024‑9474 / CVE‑2025‑0111 po czasie prób.